Politique de confidentialité

Qui est responsable ?

Le responsable de traitement est Max Bryselbout, personne physique, 82 avenue de Bretagne, 59000 Lille. Pour toute question : max.bryselbout@gmail.com. Les coordonnées complètes figurent dans les mentions légales.

Ce que nous collectons

Si vous organisez un album (compte requis) : votre adresse e-mail, votre nom, votre mot de passe (stocké sous forme hachée, jamais en clair) et vos sessions de connexion.

Si vous participez à un album (aucun compte) : le prénom que vous saisissez pour signer vos dépôts et commentaires, et une clé technique aléatoire posée sur votre appareil (voir les cookies ci-dessous). Cette clé permet une seule chose : vous reconnaître comme l'auteur de vos propres dépôts, pour que vous puissiez les supprimer.

Les contenus de l'album : les photos et vidéos déposées, leurs métadonnées techniques (nom du fichier, dimensions, dates) et le prénom du déposant ; les réactions emoji et les commentaires, rattachés à leur auteur. Des vignettes sont générées automatiquement pour l'affichage.

Les messages du livre d'or : le mot écrit, et le cas échéant l'enregistrement vocal ou vidéo laissé par un invité, rattachés à son prénom. Un enregistrement contient la voix, et une vidéo le visage, d'une personne identifiable : nous les traitons avec le même soin que les photos, sans analyse automatique d'aucune sorte. L'organisateur choisit qui peut les consulter, lui seul ou toutes les personnes ayant accès à l'album, et peut fermer le livre d'or à tout moment.

Si vous achetez la formule Événement : les informations nécessaires au paiement et à son suivi (montant, date, statut, identifiant de transaction transmis par notre prestataire de paiement). Nous ne collectons ni ne stockons jamais vos données de carte bancaire : elles sont saisies directement chez notre prestataire (voir « Le paiement » ci-dessous).

Journaux techniques : comme tout service en ligne, nos serveurs enregistrent des journaux (adresse IP, horodatage des requêtes) nécessaires à la sécurité et au bon fonctionnement.

Si vous déposez une photo, une vidéo, un commentaire ou un mot dans le livre d'or : nous conservons, à côté de votre contribution, l'adresse IP depuis laquelle elle a été déposée et sa date. Ce n'est pas un choix commercial : la loi pour la confiance dans l'économie numérique impose à l'hébergeur d'un contenu déposé par un tiers de conserver de quoi identifier son auteur, afin de pouvoir répondre à une autorité judiciaire. Cette adresse n'est jamais affichée : ni aux autres invités, ni à l'organisateur de l'album. Elle est effacée automatiquement au bout d'un an, sans que votre contribution soit supprimée.

Mesure d'audience : nous mesurons la fréquentation du site avec OpenPanel, un outil open source configuré sans cookie et sans suivi entre sites : pages vues, provenance, type d'appareil, sous forme de statistiques. Pas de Google Analytics, pas de régie publicitaire, pas d'enregistrement de session. Cette mesure d'audience à finalité limitée relève de l'exemption de consentement prévue par la CNIL.

Pourquoi, et sur quelle base légale ?

• Fournir le service (créer l'album, recevoir et restituer les médias, signer les dépôts, permettre les réactions et commentaires) : exécution du contrat pour les organisateurs, intérêt légitime pour la participation des invités.
• Sécuriser la plateforme (journaux, prévention des abus) : intérêt légitime.
• Savoir ce qui fait connaître Medley (le canal par lequel vous êtes arrivé, conservé à côté du compte que vous créez) : intérêt légitime. Cette donnée sert à nos seules statistiques internes, n'est transmise à personne, et ne sert ni à de la publicité ni à du profilage.
• Vous inviter à donner votre avis après votre événement (l'e-mail de fin d'événement envoyé à l'organisateur et, si nous les avons activées, l'invitation Trustpilot qui le suit) : intérêt légitime. Vous pouvez vous y opposer à tout moment, d'une réponse à cet e-mail ou du lien de désinscription de l'invitation.
• Pouvoir identifier l'auteur d'un contenu déposé (l'adresse IP conservée à côté d'une photo, d'une vidéo, d'un commentaire ou d'un mot du livre d'or) : obligation légale, celle que l'article 6 de la loi pour la confiance dans l'économie numérique impose à l'hébergeur. Cette donnée n'a pas d'autre usage : elle n'est communiquée qu'à une autorité judiciaire qui la requiert, jamais à l'organisateur, jamais aux autres invités, et ne sert ni à la modération ni à la mesure d'audience.
• Traiter votre achat de la formule Événement (paiement, suivi, preuve) : exécution du contrat, et respect de nos obligations légales (comptables et fiscales) pour la conservation des justificatifs.

Rien d'autre. Vos données ne servent ni à de la publicité, ni à du profilage, ni à entraîner des modèles, et ne sont jamais vendues.

Les cookies

Medley ne dépose que des cookies strictement nécessaires au fonctionnement du service, exemptés de consentement selon la doctrine de la CNIL : c'est pourquoi il n'y a pas de bandeau cookies.

• mdl_guest (12 mois) : clé technique aléatoire d'invité, qui vous permet de supprimer vos propres dépôts et réactions.
• mdl_name (12 mois) : le prénom que vous avez saisi, pour ne pas vous le redemander.
• mdl_lang (12 mois) : la langue que vous avez choisie, pour vous servir le site dans celle-là.
• mdl_attr (90 jours) : par quelle porte vous êtes arrivé (moteur de recherche, réseau social, réponse d'une IA, lien d'une campagne), pour savoir ce qui fait connaître Medley. Il ne contient aucun identifiant, ne vous suit sur aucun autre site, n'est transmis à personne, et n'est lu qu'une seule fois : si vous créez un compte.
• Cookies de session : authentification des organisateurs connectés.

Aucun cookie publicitaire n'est déposé, et aucun ne vous suit d'un site à l'autre : mdl_attr ne dit que par quelle porte vous êtes entré sur celui-ci. La mesure d'audience (OpenPanel, décrite plus haut) fonctionne elle aussi sans cookie.

Qui voit vos contenus ?

Un album Medley est accessible à toute personne qui dispose de son lien ou de son QR code : c'est le principe du service (les invités rejoignent sans compte). Toute personne ayant ce lien peut voir et télécharger les photos et vidéos de l'album, y compris les vôtres. Les albums ne sont ni publics, ni référencés par les moteurs de recherche, ni listés nulle part : seuls ceux à qui le lien est transmis y accèdent. Ne partagez le lien qu'avec les personnes concernées par l'événement.

En dehors de ce cercle : nos sous-traitants techniques (hébergement, mesure d'audience, paiement, envoi d'e-mails) traitent les données pour notre compte, dans l'Union européenne. Un seul cas sort de ce cadre, et il est annoncé dans l'e-mail même qui le porte : si nous avons activé les invitations d'avis, le nom, l'adresse e-mail de l'organisateur et l'intitulé de l'album sont transmis à Trustpilot (Trustpilot A/S, Copenhague, Danemark) avec l'e-mail de fin d'événement, à seule fin de l'inviter à laisser un avis. Cette transmission ne concerne jamais les invités, et l'invitation se refuse en un clic.

Où sont vos données ?

Les données et les médias sont hébergés par OVH (OVH SAS, Roubaix, France), hébergeur français agissant comme sous-traitant, dans des centres de données situés dans l'Union européenne, sans transfert vers des pays tiers. C'est un engagement fondateur de Medley, pas une option.

Le paiement

La formule Événement est réglée via Mollie (Mollie B.V., Amsterdam, Pays-Bas), prestataire de paiement européen agréé, qui traite la transaction pour notre compte. Vos données de carte bancaire sont saisies et traitées directement par Mollie, au sein de l'Union européenne : elles ne transitent jamais par nos serveurs et nous ne les stockons pas. De notre côté, nous ne conservons que la trace de la transaction (montant, statut, identifiant Mollie) et, sur cette trace, ce qu'une pièce comptable doit porter : votre nom, votre adresse e-mail et l'intitulé de l'album, figés au moment de l'achat. C'est ce qui permet le suivi de votre achat et le respect de nos obligations comptables.

Combien de temps ?

• Les médias, réactions et commentaires : conservés pendant la durée de conservation de l'album (pendant la phase de test, au moins jusqu'au 31 décembre 2026 ; voir la section 10 des conditions générales), et en tout cas jusqu'à leur suppression par leur auteur ou par l'organisateur, ou la suppression de l'album. Nous ne supprimons jamais un album au terme de sa conservation sans en avoir informé l'organisateur au préalable.
• Les fichiers d'origine : Les originaux de vos photos et vidéos sont conservés avec l'album : rien n'est réduit en qualité web pendant la phase de test. Ils suivent donc la durée de l'album, ci-dessus.
• L'adresse IP attachée à une contribution d'invité : 365 jours, la durée assignée aux données d'identification que doit conserver un hébergeur. Passé ce délai elle est effacée, et la contribution reste.
• Les données de paiement : 10 ans, la durée assignée aux pièces comptables. Un paiement confirmé survit donc à la suppression de son album et de son compte : c'est une obligation qui pèse sur nous, et devant laquelle le droit à l'effacement s'incline. Au terme, le nom, l'adresse et l'intitulé de l'album sont effacés ; il ne reste qu'un montant et une date, qui ne désignent plus personne.
• Le compte organisateur : jusqu'à sa suppression, que vous pouvez effectuer vous-même depuis votre espace compte, ou sur demande. Un paiement confirmé, lui, reste : voir la ligne ci-dessus.
• Les cookies d'invité : 12 mois.
• Le canal d'arrivée : le cookie 90 jours, et la ligne conservée à côté d'un compte suit la vie de ce compte.
• Les journaux techniques : durée limitée, à des fins de sécurité.

Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données. Deux réserves, et toutes deux tiennent à la loi et non à nous. La première : tant que nous hébergeons un contenu que vous avez déposé, l'adresse IP conservée à côté de lui ne peut faire l'objet ni d'une opposition ni d'un effacement isolé, puisque c'est une obligation qui pèse sur l'hébergeur. Supprimez le contenu et elle part avec lui ; sinon elle s'efface d'elle-même au bout d'un an. La seconde : un paiement confirmé est une pièce comptable, que nous devons conserver 10 ans même si vous supprimez votre compte. Tout le reste s'en va. Deux voies :

• Directement dans l'album : depuis l'appareil qui a servi au dépôt, vous pouvez supprimer vous-même vos photos, vidéos, réactions, commentaires et messages du livre d'or. L'organisateur peut retirer n'importe quel contenu de son album.
• Depuis votre espace compte (organisateurs) : dans « Mon compte », vous pouvez à tout moment modifier vos informations, exporter l'ensemble de vos données dans un fichier (portabilité), et supprimer définitivement votre compte avec tous vos albums et médias (droit à l'effacement, appliqué immédiatement).
• Par e-mail : max.bryselbout@gmail.com, en précisant l'album concerné. Nous répondons dans les meilleurs délais, au plus tard sous un mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (Commission nationale de l'informatique et des libertés), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr.

Le droit à l'image des personnes photographiées

Les photos d'un événement représentent souvent d'autres personnes que leur auteur. En déposant un média, vous vous assurez de ne pas porter atteinte aux droits des personnes qui y figurent. Si une photo de vous a été déposée dans un album et que vous souhaitez son retrait, adressez-vous à l'organisateur de l'événement ou écrivez-nous : elle sera retirée.